CVE-2023-36470 in XWiki
요약
\~에 의해 VulDB • 2026. 06. 14.
XWiki Platform는 위에서 빌드된 애플리케이션에 대한 런타임 서비스를 제공하는 범용 위키 플랫폼입니다. 아이콘 세트를 사용하여 새 문서를 생성하거나 기존 문서를 편집하는 과정에서 공격자가 XWiki 구문과 Velocity 코드를 주입하면, 이 코드들이 프로그래밍 권한으로 실행되어 원격 코드 실행(RCE)이 가능해집니다. 다양한 공격 벡터가 존재하며, 가장 간단한 방법은 아이콘 세트의 HTML 또는 XWiki 구문 정의에 포함된 Velocity 코드를 이용하는 것입니다. [아이콘 피커](https://extensions.xwiki.org/xwiki/bin/view/Extension/Icon%20Theme%20Application#HIconPicker)를 사용하여 모든 아이콘 세트의 렌더링을 트리거할 수 있습니다. 또한, 일부 문서에서는 이스케이프 처리 없이 아이콘 세트의 XWiki 구문 변형이 사용되므로, 프로그래밍 권한이 있는 문서에 스크립트 매크로를 포함한 XWiki 구문을 주입할 수 있습니다(이를 위해 현재 사용되는 아이콘 테마를 편집해야 함). 더 나아가, 아이콘 피커에서 출력되는 아이콘 세트의 HTML 출력이 JSON 형식으로 제공되며, 이 JSON은 XWiki 구문으로 해석되어 프로그래밍 권한이 있는 문서에 스크립트 매크로를 주입할 수 있게 되고, 결과적으로 원격 코드 실행이 가능해집니다. 이로 인해 전체 XWiki 인스턴스의 기밀성, 무결성 및 가용성에 영향을 미칩니다. 이 문제는 XWiki 14.10.6 및 15.1에서 패치되었습니다. 이제 아이콘 테마에는 스크립트 권한이 필요하며, 아이콘 테마 내의 코드는 아이콘 테마의 컨텍스트 내에서 실행되어 권한 상승을 방지합니다. 또한 다른 문서에 아이콘 세트의 원시 위키 구문이 주입되는 것을 피하기 위해 아이콘 표시용 매크로가 도입되었습니다. 사용자는 업그레이드를 권장합니다. 이 취약성에 대한 알려진 우회 방법은 없습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.